How to grant and manage permissions for tenant-level roles - MaxCompute

Este tema describe cómo otorgar permisos a roles a nivel de inquilino, utilizar los comandos relacionados y gestionar estos roles para controlar el acceso a objetos a nivel de inquilino como cuotas y NetworkLinks.

Contexto

En MaxCompute, los permisos para objetos como proyectos, tablas, funciones, recursos e instancias se gestionan normalmente a nivel de proyecto, lo que requiere agregar un usuario al proyecto antes de otorgar permisos. Por el contrario, puede usar una policy para otorgar a un role a nivel de inquilino permisos para acciones sobre objetos quota y NetworkLink.

Requisitos previos

Solo una cuenta de Alibaba Cloud o un usuario RAM con el rol Super_Administrator o Admin a nivel de inquilino puede gestionar permisos a nivel de inquilino.
Los permisos a nivel de inquilino se pueden controlar únicamente mediante roles a nivel de inquilino.
Solo puede otorgar permisos a un role a nivel de inquilino mediante una policy.

Flujo de trabajo para la autorización de roles a nivel de inquilino

Cree un rol a nivel de inquilino llamado t_role1.
Otorgue permisos al rol t_role1 mediante una policy.
Agregue un usuario como miembro del inquilino.
Asigne el rol t_role1 al usuario.

Comandos

-- Run the following commands in a project within the tenant.

-- Add or remove a user from a tenant.
    ADD tenant USER <user_name>;
    REMOVE tenant USER <user_name>;
    
-- View users and roles in a tenant.
    List tenant users;
    List tenant roles;
    
-- Create or drop a tenant-level role.
    CREATE tenant role <role_name>;
    DROP tenant role <role_name>;
-- Grant a tenant-level role to a user or revoke it from a user.
    GRANT tenant role <rolename> TO USER <user_name>;
    REVOKE tenant role <rolename> FROM USER <user_name>;

-- Add a tenant-level role to a project or remove it from a project.
    ADD tenant role <rolename> TO project <projectname>;
    REMOVE tenant role <rolename> FROM project <projectname>;

-- View the permissions of a tenant-level role or user.
    SHOW grants FOR tenant role <role_name>;
    SHOW grants FOR tenant USER <user_name>;
    SHOW principals FOR tenant [role] <role_name>;

Gestionar permisos en la consola

Crear un rol de inquilino

Inicie sesión en la MaxCompute console y seleccione una región en la esquina superior izquierda.
En el panel de navegación izquierdo, elija Manage Configurations > Tenants .
En la página Tenants, haga clic en la pestaña Roles.

En la pestaña Roles, haga clic en Add Role. En el cuadro de diálogo Add Role, introduzca un Role Name personalizado, proporcione el Policy Content y luego haga clic en OK.

Parámetro

Descripción

Role Name

Un nombre único para el rol a nivel de inquilino que cumple con los siguientes requisitos:

Debe comenzar con una letra.
Solo contiene letras, guiones bajos (_) y dígitos.
Tiene una longitud de 6 a 64 caracteres.

Policy Content

Políticas de permisos para roles. Edite el código de la política basándose en las plantillas de políticas de la interfaz.

Ejemplo de contenido de política. A continuación se muestra un ejemplo:

Para objetos networklink, permite que este rol tenga permisos de operación CreateNetworkLink, List y Execute en todos los enlaces de red.
Para objetos Quota, permite que este rol tenga permisos de Usage en todas las regiones de todas las cuotas.

{
    "Statement":[
        {
            "Action":[
                "odps:CreateNetworkLink",
                "odps:List",
                "odps:Execute"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:networklinks/*"
            ]
        },
        {
            "Action":[
                "odps:Usage"
            ],
            "Effect":"Allow",
            "Resource":[
                "acs:odps:*:regions/*/quotas/*"
            ]
        }
    ],
    "Version":"1"
}

En la página Tenants, haga clic en la pestaña Users.

En esta pestaña puede gestionar usuarios a nivel de inquilino. Esto incluye agregar nuevos usuarios de la cuenta actual de Alibaba Cloud y otorgarles roles a nivel de inquilino.

Gestionar roles de inquilino

Inicie sesión en la MaxCompute console y seleccione una región en la esquina superior izquierda.
En el panel de navegación izquierdo, elija Manage Configurations > Tenants .
En la página Tenants, haga clic en la pestaña Roles.
En la columna Actions de la lista de roles, puede consultar, eliminar o modificar un rol.

Gestionar usuarios del inquilino

Inicie sesión en la MaxCompute console y seleccione una región en la esquina superior izquierda.
En el panel de navegación izquierdo, elija Manage Configurations > Tenants .
En la página Tenants, haga clic en la pestaña Users.
En esta pestaña puede gestionar usuarios a nivel de inquilino. Esto incluye agregar nuevos usuarios de la cuenta actual de Alibaba Cloud y otorgarles roles a nivel de inquilino.